Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Bollettini sulla sicurezza

Di seguito sono riportati tutti i bollettini sulla sicurezza relativi ad Application Integration.

GCP-2026-074

Data di pubblicazione: 28 ottobre 2026

Descrizione

Descrizione Gravità Note

Descrizione	Gravità	Note
È stata rilevata una vulnerabilità di deserializzazione di dati non attendibili nell'attività `SubWorkflow` nelle versioni di Application Integration precedenti all'11 settembre 2026. Che cosa devo fare? Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta l'11 settembre 2026. Quali vulnerabilità vengono affrontate? Un utente autenticato potrebbe utilizzare un oggetto serializzato creato con intenti dannosi per eseguire codice arbitrario.	Critico	CVE-2026-93327

È stata rilevata una vulnerabilità di deserializzazione di dati non attendibili nell'attività SubWorkflow nelle versioni di Application Integration precedenti all'11 settembre 2026.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta l'11 settembre 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato potrebbe utilizzare un oggetto serializzato creato con intenti dannosi per eseguire codice arbitrario.

Critico

CVE-2026-93327

GCP-2026-068

Data di pubblicazione: 14 ottobre 2026

Ultimo aggiornamento: 5 novembre 2026

Descrizione

Descrizione Gravità Note

Descrizione	Gravità	Note
Una vulnerabilità di autorizzazione errata nel runtime di esecuzione della convalida e dell'integrazione di `AuthConfig` nelle versioni di Application Integration precedenti al 27 agosto 2026. Che cosa devo fare? Non è necessario alcun intervento da parte del cliente per risolvere questa vulnerabilità. Questa vulnerabilità è stata corretta il 27 agosto 2026. Per migliorare la sicurezza contro le vulnerabilità di autorizzazione, Application Integration ha aggiornato i requisiti di pubblicazione e test: Tutte le integrazioni: richiedono l'autorizzazione `iam.serviceAccounts.actAs` per il account di servizio "Esegui come". Integrazioni create a partire dal 15 ottobre 2026: devono avere un account di servizio run-as per utilizzare i trigger pianificati o di eventi. Integrazioni esistenti create prima del 15 ottobre 2026: richiederanno anche un account di servizio run-as per i trigger pianificati o di eventi a partire dal 15 gennaio 2027 (UTC). Per saperne di più, consulta Preparati alle prossime modifiche alle autorizzazioni. Quali vulnerabilità vengono affrontate? Un utente autenticato potrebbe eseguire l'escalation dei privilegi e assumere l'identità di un account di servizio nel progetto Google Cloud .	Alta	CVE-2026-85298

Una vulnerabilità di autorizzazione errata nel runtime di esecuzione della convalida e dell'integrazione di AuthConfig nelle versioni di Application Integration precedenti al 27 agosto 2026.

Che cosa devo fare?

Non è necessario alcun intervento da parte del cliente per risolvere questa vulnerabilità. Questa vulnerabilità è stata corretta il 27 agosto 2026.

Per migliorare la sicurezza contro le vulnerabilità di autorizzazione, Application Integration ha aggiornato i requisiti di pubblicazione e test:

Tutte le integrazioni: richiedono l'autorizzazione iam.serviceAccounts.actAs per il account di servizio "Esegui come".
Integrazioni create a partire dal 15 ottobre 2026: devono avere un account di servizio run-as per utilizzare i trigger pianificati o di eventi.
Integrazioni esistenti create prima del 15 ottobre 2026: richiederanno anche un account di servizio run-as per i trigger pianificati o di eventi a partire dal 15 gennaio 2027 (UTC).

Per saperne di più, consulta Preparati alle prossime modifiche alle autorizzazioni.

Quali vulnerabilità vengono affrontate?

Un utente autenticato potrebbe eseguire l'escalation dei privilegi e assumere l'identità di un account di servizio nel progetto Google Cloud .

Alta

CVE-2026-85298

GCP-2026-066

Data di pubblicazione: 28 settembre 2026

Descrizione	Gravità	Note
È stata rilevata una vulnerabilità Confused Deputy nel componente Attività email nelle versioni di Application Integration precedenti al 30 giugno 2026. Che cosa devo fare? Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 30 giugno 2026. Quali vulnerabilità vengono affrontate? Un utente malintenzionato autenticato potrebbe leggere ed esfiltrare file interni di Google arbitrari utilizzando un percorso di allegato creato ad hoc.	Alta	CVE-2026-81375

Descrizione

Gravità

Note

È stata rilevata una vulnerabilità Confused Deputy nel componente Attività email nelle versioni di Application Integration precedenti al 30 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 30 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente malintenzionato autenticato potrebbe leggere ed esfiltrare file interni di Google arbitrari utilizzando un percorso di allegato creato ad hoc.

Alta

CVE-2026-81375

GCP-2026-065

Data di pubblicazione: 28 settembre 2026

Descrizione	Gravità	Note
È stata rilevata una vulnerabilità di deserializzazione di dati non attendibili nell'attività JavaScript nelle versioni di Application Integration precedenti al 28 giugno 2026. Che cosa devo fare? Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 28 giugno 2026. Quali vulnerabilità vengono affrontate? Un utente autenticato con autorizzazioni standard potrebbe utilizzare uno script appositamente creato per eseguire codice arbitrario sui server di produzione condivisi.	Critico	CVE-2026-81867

Descrizione

Gravità

Note

È stata rilevata una vulnerabilità di deserializzazione di dati non attendibili nell'attività JavaScript nelle versioni di Application Integration precedenti al 28 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 28 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato con autorizzazioni standard potrebbe utilizzare uno script appositamente creato per eseguire codice arbitrario sui server di produzione condivisi.

Critico

CVE-2026-81867

GCP-2026-064

Data di pubblicazione: 28 settembre 2026

Descrizione	Gravità	Note
È stata rilevata una vulnerabilità di autorizzazione errata nella configurazione delle attività nelle versioni di Application Integration precedenti al 17 giugno 2026. Che cosa devo fare? Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 17 giugno 2026. Quali vulnerabilità vengono affrontate? Un utente autenticato potrebbe utilizzare un tipo di attività solo interno per eseguire RPC interne arbitrarie dalla rete di produzione interna di Google con un'identità con privilegi.	Critico	CVE-2026-19759

Descrizione

Gravità

Note

È stata rilevata una vulnerabilità di autorizzazione errata nella configurazione delle attività nelle versioni di Application Integration precedenti al 17 giugno 2026.

Che cosa devo fare?

Non è richiesta alcuna azione da parte del cliente. Questa vulnerabilità è stata corretta il 17 giugno 2026.

Quali vulnerabilità vengono affrontate?

Un utente autenticato potrebbe utilizzare un tipo di attività solo interno per eseguire RPC interne arbitrarie dalla rete di produzione interna di Google con un'identità con privilegi.

Critico

CVE-2026-19759

GCP-2026-044

Data di pubblicazione: 25 giugno 2026

Descrizione	Gravità	Note
È stata rilevata una vulnerabilità nell'attività JavaScript di Application Integration, che utilizzava il motore JavaScript Rhino. Questo problema ha interessato solo le attività pubblicate prima di gennaio 2025. Che cosa devo fare? Google è passata al motore JavaScript V8, più sicuro, per le attività JavaScript in Application Integration. Da gennaio 2025, tutte le integrazioni pubblicate di recente utilizzano il motore V8 e, a partire dal 30 marzo 2026, il motore Rhino è stato completamente ritirato. Anche le esecuzioni che utilizzano il motore Rhino sono ora bloccate. Se hai integrazioni pubblicate prima di gennaio 2025, esamina le attività JavaScript per verificare che nessuna si basi ancora sul motore Rhino. Qualsiasi attività ancora configurata per l'utilizzo di Rhino non verrà più eseguita e dovrà essere migrata al motore V8. Per i passaggi della migrazione, consulta Esegui la migrazione delle attività JavaScript. Quali vulnerabilità vengono affrontate? La vulnerabilità, CVE-2025-0982, consentiva a un utente con l'autorizzazione di creare ed eseguire attività JavaScript di eseguire codice arbitrario all'interno dell'ambiente di esecuzione di Application Integration. In precedenza, l'attività JavaScript utilizzava il motore JavaScript Rhino per eseguire il codice JavaScript fornito dall'utente. Rhino consentiva l'utilizzo della riflessione Java e la modifica degli oggetti di autorizzazione in memoria, che potevano essere combinati per bypassare il gestore della sicurezza Java e uscire dalla sandbox di esecuzione prevista. Google ha risolto il problema passando al motore JavaScript V8 a gennaio 2025 e ritirando e bloccando completamente il motore Rhino il 30 marzo 2026.	Alta	CVE-2025-0982

Descrizione

Gravità

Note

È stata rilevata una vulnerabilità nell'attività JavaScript di Application Integration, che utilizzava il motore JavaScript Rhino. Questo problema ha interessato solo le attività pubblicate prima di gennaio 2025.

Che cosa devo fare?

Google è passata al motore JavaScript V8, più sicuro, per le attività JavaScript in Application Integration. Da gennaio 2025, tutte le integrazioni pubblicate di recente utilizzano il motore V8 e, a partire dal 30 marzo 2026, il motore Rhino è stato completamente ritirato. Anche le esecuzioni che utilizzano il motore Rhino sono ora bloccate.

Se hai integrazioni pubblicate prima di gennaio 2025, esamina le attività JavaScript per verificare che nessuna si basi ancora sul motore Rhino. Qualsiasi attività ancora configurata per l'utilizzo di Rhino non verrà più eseguita e dovrà essere migrata al motore V8. Per i passaggi della migrazione, consulta Esegui la migrazione delle attività JavaScript.

Quali vulnerabilità vengono affrontate?

La vulnerabilità, CVE-2025-0982, consentiva a un utente con l'autorizzazione di creare ed eseguire attività JavaScript di eseguire codice arbitrario all'interno dell'ambiente di esecuzione di Application Integration.

In precedenza, l'attività JavaScript utilizzava il motore JavaScript Rhino per eseguire il codice JavaScript fornito dall'utente. Rhino consentiva l'utilizzo della riflessione Java e la modifica degli oggetti di autorizzazione in memoria, che potevano essere combinati per bypassare il gestore della sicurezza Java e uscire dalla sandbox di esecuzione prevista. Google ha risolto il problema passando al motore JavaScript V8 a gennaio 2025 e ritirando e bloccando completamente il motore Rhino il 30 marzo 2026.

Alta

CVE-2025-0982